Granskningsrapport - Ringhals 4 - Anmälan av ändringar till följd av utbyte av backventiler i säkerhetsinsprutningsledningarna

Ringhals AB 432 85 Väröbacka Tillsynsrapport Datum: 2013-01-16 Er referens: 2212275 Diarienr: SSM2012-4297 Förrättningsdatum: Klicka här för att skriva datum. Ansvarig handläggare: Tomas Almberger KS Arbetsgrupp: Tomas Almberger KS Samråd: Lars Skånberg cki, Christer Karlsson KD Godkänt av: Jan Hanberg cks Granskningsrapport - Ringhals 4 - Anmälan av ändringar till följd av utbyte av backventiler i säkerhetsinsprutningsledningarna Sammanfattning SSM anser att ändringen som helhet till största del har värderats på ett tillfredställande sätt och att utbytet av backventiler är positivt för reaktorsäkerheten. Ur den synvinkeln har SSM inga synpunkter på backventilernas utbyte. Utbytet och den anmälan till SSM som följde har dock vissa frågetecken kring delar av omfattningen av värderingen samt vissa principiella delar av ärendet. Underhållsaspekter bör ges en mindre betydelse när man värderar diversifieringsaspekter. Avsaknaden av SAR-redovisning av undantag från fundamentala krav medför att samtliga säkerhetsaspekter av en ändring i anläggningen inte på ett enkelt sätt är identifierbara för konstruktörer, granskarare och övriga berörda parter. Utbyte av säkerhetskritiska komponenter från en sort till en annan sort bör anmälas till SSM. Speciellt för ändringar i delar av säkerhetsfunktioner som inte uppfyller fundamentala krav. RAB bör se över processen för hur det bedöms om en komponent är beprövad eller inte, samt att komponentens faktiska tillämpning ingår i en sådan värdering. Strålsäkerhetsmyndigheten Swedish Radiation Safety Authority SE-171 16 Stockholm Tel:+46 8 799 40 00 E-post: registrator@ssm.se Solna strandväg 96 Fax:+46 8 799 40 10 Webb: stralsakerhetsmyndigheten.se

Sida 2 (8) Innehållsförteckning Sammanfattning... 1 1 Bakgrund... 3 2 Syfte med granskningen... 3 3 Granskningens genomförande... 3 4 Krav... 3 5 Analys... 4 5.1 Ändringens påverkan på anläggningen och dess redovisning... 4 5.2 Hanteringen av ärendet... 6 5.3 Säkerhetsgranskning av ärendet... 7 6 Samlad bedömning... 7 Referenser... 8

Sida 3 (8) 1 Bakgrund Ringhals 4 (R4) har under en längre tid haft problem med underhåll på 12 stycken backventiler av Kerotest fabrikat. Dels har många lock skurit och är numera fastsvetsade men även svårigheter att få tag på nya delar (reservdelar) från Kerotest. Samtliga backventilerna är placerade i systemet för högtrycksinpumpning till reaktortanken (HHSI). Dessa problem medförde att Ringhals AB (RAB) under R4:s revisionsavställning sommaren 2012 bytte dessa 12 stycken Kerotest-backventiler i HHSI till nya backventiler av annat fabrikat (Ringo). I samband med verifierande provdrift på R4, noterade RAB att tillräckligt flöde genom de nya backventilerna inte uppnåddes. Det har därefter verifierats att problemet härrörde från en felaktig utformning av backventilerna vilka inte öppnade helt i vissa lägen. RAB åtgärdade dessa problem och anser numera att funktionen hos backventilerna är tillfyllest. Den 4 oktober 2012 anmälde RAB de ändringar i säkerhetsredovisningen som följde av bytet av backventiler. Bytet i sig själv var inte anmält till SSM då RAB inte ansett detta var en ändring som påverkade säkerhetsredovisningen (SAR) och som därmed är kravställd att anmäla till SSM. 2 Syfte med granskningen Granskningen syftar till att bedöma om samtliga nödvändiga säkerhetsaspekter har beaktats i nödvändig utsträckning samt om ändringarna i säkerhetsredovisningen är av förväntad kvalitet i enlighet med 4 kap 2 SSMFS 2008:1. Dessutom syftar granskningen till att undersöka om ärendets säkerhetsgranskning uppfyller de krav som ställs i 4 kap 3 SSMFS 2008:1, om RAB:s hantering av anmälan om anläggningsändring uppfyller kraven som ställs i 4 kap 5 SSMFS 2008:1 samt om RAB:s hantering av införandet av de nya backventilerna i anläggningen är korrekt. 3 Granskningens genomförande Granskningen har genomförts av Tomas Almberger och har i huvudsak fokuserat på att värdera om RAB hanterat ärendet på ett korrekt sätt samt om RAB har identifierat och beaktat samtliga nödvändiga säkerhetsaspekter som bytet av aktuella backventiler för med sig. Granskningen har inte värderat om de nya backventilerna har en tillräcklig kvalitet, kapacitet eller tillförlitlighet. 4 Krav Krav och bedömningskriterier för innehåll i säkerhetsredovisningen framgår av SSMFS 2008:1. Krav på konstruktion framgår av SSMFS 2008:1 samt 2008:17. Krav på tålighet mot enkelfel ställs i 9 SSMFS 2008:17 och krav på tillräcklig diversifiering ställs i 10 SSMFS 2008:17. Krav på säkerhetsredovisning ställs i 4 kap 2 SSMFS 2008:1. I de allmänna råden om tillämpningen av föreskrifterna i SSMFS 2008:1, har kravet avseende innehåll i säkerhetsredovisning ytterligare förtydligats.

Sida 4 (8) Krav på säkerhetsgranskningen ställs i 4 kap 3 SSMFS 2008:1. I de allmänna råden om tillämpningen av föreskrifterna i SSMFS 2008:1, har kravet avseende innehåll i säkerhetsgranskning ytterligare förtydligats. Krav på hantering om anmälan av anläggningsändringar ställs i 4 kap 5 SSMFS 2008:1. I de allmänna råden om tillämpningen av föreskrifterna i SSMFS 2008:1, har kravet avseende innehåll i hantering av anmälan om anläggningsändringar ytterligare förtydligats. 5 Analys 5.1 Ändringens påverkan på anläggningen och dess redovisning 5.1.1 Observationer Hur utbytet av 12 stycken backventiler i härdnödkylsystemet (system 323) har påverkat och påverkar reaktorsäkerheten har värderats av RAB i (1). RAB väljer att lyfta upp CCF-aspekten som skärskilt viktigt att beakta och redovisar värderingen, baserat på (2), att ett tidsdiversifierat införande i anläggningen inte bedömts som nödvändig trots att projektet föreslog detta. Det anges även att underhållstekniska aspekterna vägts in i dessa bedömningar. I värderingarna har främst risken för CCF och underhållsaspekterna värderats. Konsekvensen av en CCF respektive konskevensen av ett svårare underhåll har inte vägts in fullt ut vid värderingen. Vidare redovisas och värderas att de nya ventilerna visserligen har ett något högre flödesmotstånd än de gamla, men att det nya flödesmotståndet inte är så pass stort att acceptanskriterier för flödet inte innehålls. Det görs även en värdering om att de nya ventilerna inte kan anses vara av beprövad konstruktion, denna värdering tillkom först efter de problem med ventilerna som uppdagades i samband med verifierande prov efter införandet. I den ursprungliga värderingen som genomfördes innan installation så anges det att ventilerna är av beprövad konstruktion (3). Utöver detta redovisas att ingen ändring medför någon ändring i redundans, enkelfelstålighet, separation eller diversifiering etc. då befintlig anläggningskonstruktion inte förändras. SSM har i en granskningsrapport för uppfyllnad av 9 SSMFS 2008:17 (4) identifierat följande assaker av vikt för föreliggande ärende, Det framgår ur SAR systemdel avsnitt 6.3 vad systemet för härdnödkylningen (ECCS) har för säkerhetsuppgifter. Indirekt kan man ur det härleda att systemet ska vara tåligt mot enkelfel. Det framgår ur SAR-avsnittet att ECCS består av redundanta och oberoende kretsar som var för sig kan utföra sin uppgift. Det finns dock ingen redovisning över vilka backventiler i ECCS som har ansetts vara passiva alternativt av sådan robust kvalitet att de kan undantas från krav på enkelfel.. SSM noterar, ur RAB-rapporterna (5) och (6) att de 12 stycken aktuella backventilerna samtliga är undantagna kravet på tålighet mot enkelfel. Detta framgår inte av SAR. SSM noterar ytterligare att den genomförda säkerhetsvärderingen, (5) är genomförd för de

Sida 5 (8) gamla ventilerna. Det saknas en värdering om det är acceptabelt att även de nya backventilerna undantas från krav på tålighet mot enkelfel. Sammantaget gör RAB bedömningen att utbytet av samtliga 12 ventiler under en och samma revision är positivit och att reaktorsäkerheten höjs. 5.1.2 Bedömningar SSM anser att ändringen som helhet till största del har värderats på ett tillfredställande sätt. Det finns dock frågetecken kring vissa delar av omfattningen av värderingen samt vissa principiella delar av ärendet. SSM gör i dessa fall följande bedömningar, CCF-aspekterna Avseende CCF-aspekter så anser SSM att underhållsaspekter primärt inte bör vägas in när beslutet om funktionsdiversifiering fattas. Att underhållet blir mer komplext om man funktionsdiversifierar är naturligt och något man får räkna med. Att då hänvisa till att underhållet blir mer komplext som skäl för att inte funktionsdiversiferar är då inte acceptabelt. SSM delar dock RAB:s bedömning att de aktuella ventilerna kan antas vara av sådan enkel och robust design att en funktionsdivserfiering inte är absolut nödvändig. Avseende aspekter för ett tidsdiversifieriat införande så anser SSM inte att RAB på ett tillfyllest sätt har motiverat varför ett sådant införande inte bör ske. I RAB:s värdering av ett sådant införande pekas på att systemet får en högre säkerhet med de nya ventilerna då dessa är jordbävningskvalificerade. Risken för jordbävning är dock väldigt liten varför fördelarna med de nya ventilerna i detta avseende får anses vara begränsad. Utöver detta påvisas det att underhållet blir mer komplext och att detta kan motivera att samtliga 12 ventiler införs samtidigt på ett block. SSM ifrågasätter denna värdering då det är ytterst tveksam om något underhåll av väsentlig karaktär förekommer på dessa ventiler under drift. Om ett uppdelat införande hade skett i två på varandra följande revisioner så är det således inte troligt att något underhåll hade förekommit mellan dessa två införandetidpunkter. Om detta saknas det en diskussion i underlaget. SSM saknar även en värdering om möjligheten att införa ett tidsuppdelat införande parallellt på Ringhals 3 och 4. Om ett sådant införande hade skett hade samtliga ventiler möjligen kunnat vara införda senast 2013, dvs. inom samma tid som nu föreligger. Dessutom hade fördelarna med ett tidsuppdelat införande erhållits. Även tänkbara motiv för ett icke-tidsuppdelat införande, så som personalstrålskyddsaspekter, svårigheter och kostnader med att genomföra installation vid två tillfällen etc. saknas och SSM anser att även sådana argument är väsentliga att lyfta fram vid ärenden av aktuell sort. SSM anser med bakgrund av dessa synpunkter att RAB inte på ett tillfredställande sätt har beaktat 10 SSMFS 2008:17 och SSM förutsätter att RAB i framtiden genomför CCFvärderingar av bättre kvalitet där samtliga relevanta aspekter diskuteras tillräckligt och där mindre vikt läggs vid underhållsaspekter. Beprövad konstruktion SSM finner det förvånande att RAB först finner en säkerhetskritisk komponent beprövad och sedan när fel uppträder i den ändrar bedömningen till att den inte är beprövad. RAB:s värdering av detta bör i princip inte ändras baserat på att de ventiler som installerades felfungerade. Bedömningen bör i princip vara densamma före som efter. SSM förutsätter att RAB i framtiden genomför liknande värderingar på en djupare nivå och då även inkluderar komponentens faktiska tillämpning i anläggningen, vilket är något SSM inte kan se ha gjorts. RAB bör se över processen för hur det bedöms om en komponent är

Sida 6 (8) beprövad eller inte, samt att komponentens faktiska tillämpning ingår i en sådan värdering, detta i enlighet med 3 kap 2 SSMFS 2008:1. Värdering av tålighet mot enkelfel Ingen av de aktuella ventilernas funktion i säkerhetsfunktionerna är tålig mot enkelfel, vilket RAB har påvisat och värderat i (5) och (6). Dessa värderingar bygger dock på de gamla ventilerna. Dessa värderingar påpekar att flödet till reaktortanken inte kommer kunna innehållas inom ramen för acceptansvärdena vid vissa händelser om ett enkelfel skulle ske på en av dessa backventiler. Då de nya backventilerna ger en något högre flödesmotstånd är det således troligt att acceptansvärdena för flöde till reaktortanken underskrids än mer vid dessa händelser om en av de nya backventilerna utsätts för ett enkelfel. Någon värdering om detta saknas i det underlag RAB har sammanställt inför utbytet av ventilerna. SSM bedömer att avsaknaden av hur tåligheten mot enkelfel påverkas med de nya ventilerna är en brist och att RAB behöver uppdatera de gjorda säkerhetsvärderingarna (5) och (6) med avseende på de nya ventilerna. Resultaten från denna uppdatering kan sedan användas för att bedöma om det fortfarande är acceptabelt att ventilernas funktion i säkerhetsfunktionerna inte är tåliga mot enkelfel eller om eventuella fysiska åtgärder i anläggningen måste genomföras för att uppnå en tålighet mot enkelfel. Varför RAB inte värderat hur anläggningens tålighet mot enkelfel påverkas med utbytet av ventiler är oklart. SSM noterar dock att det i SAR inte framgår att dessa ventiler medför att härdnödkylningsfunktionen inte är tålig mot enkelfel vilket SSM bedömer vara en brist. Att detta inte redovisas i SAR kan medföra att kännedomen är bristfällig om att de delarna av härdnödkylningsfunktionen där de aktuella backventilerna är placerade är undantagna från tålighet mot enkelfel. Denna bristfälliga kännedom även kan ha medfört att undantag från ett fundamentalt krav inte har uppmärkssammats tillräckligt i arbetet. SSM vill, baserat på detta, påpeka att det är högst väsentligt att eventuella undantag från krav öppet och tydligt redovisas i SAR så att alla förutsättningar för en konstruktion finns med när eventuella ändringar görs. SSM förutsätter att RAB uppdaterar SAR så brister av denna sort åtgärdas. Baserat på ovanstående resonemang bedömer SSM att RAB inte på ett tillräckligt sätt har värderat 9 SSMFS 2008:17 vid utbytet av backventiler, samt att SAR inte full ut uppfyller 4 kap 2 SSMFS 2008:17 avseende innehåll i säkerhetsredovisningen. 5.2 Hanteringen av ärendet RAB anmälde, (7), ursprungligen inte utbytet av backventiler då RAB ansåg att det var frågan om ett rent byte av komponent (ett s.k. ett till ett byte) och inte en ändring som påverkade SAR och som därmed måste anmälas till SSM i enlighet med 4 kap 5 SSMFS 2008:1. SSM bedömer detta som tveksamt om aktuellt utbyte av ventiler till en ny typ och fabrikat kan genomföras utan att SAR påverkas eller borde påverkats i någon mening då det är en fråga om en ny typ och ett nytt fabrikat av backventil. Dvs. SSM bedömer inte utbytet som ett rent ersättningsbyte utan snarare som en anläggningsändring. Med bakgrund i detta bedömning SSM att RAB hellre bör anmäla ärenden av aktuell sort till SSM snarare än att inte anmäla dem. Denna bedömning är enbart baserat på RAB:s anmälda underlag. Om man väger in de tveksamheter i ärendet som SSM identifierat i avsnitt 5.1 så är det dock tydligt att detta ärende skulle ha anmälts till SSM. Den främsta orsaken till att ärendet skulle ha anmälts till SSM är att det är utbyte av komponenter som inte uppfyller 9

Sida 7 (8) SSMFS 2008:17. Utbyte av komponenter som är undantagna från fundamentala krav till en ny typ/fabrikat av komponenter påverkar alltid de förhållanden som anges i eller som bör anges i säkerhetsredovisningen och därav bör de anmälas till SSM. Då RAB inte identifierade denna säkerhetsaspekt så ingick heller inte den i värderingen som gjordes när det bestämdes att inte anmäla ärendet. SSM anser således att RAB:s ursprungliga hantering av ärendet inte uppfyller 4 kap 5 avseende hantering av ärendet. RAB anmälde ärendet först efter att de nya backventilerna modifierats efter det att konstruktionsfelet hos dem identifierades. Denna anmälning gjordes då ändringarna medförde att såväl SAR som enstaka KFM:er påverkades. Denna anmälan gjordes helt i enlighet med 4 kap 5 SSMFS 2008:1 och 4 kap. 4 SSMFS 2008:13. 5.3 Säkerhetsgranskning av ärendet SSM finner att genomförda säkerhetsgranskningar (8), (9), (10) samt (11) har skett på ett acceptabelt och tillfredställande sätt i enlighet med 4 kap 3 SSMFS 2008:17. Speciellt anser SSM att ursprunglig PSG (8) genomförts på ett utomordentligt tillfredställande sätt. Följande noteringar kan dock göras, I den ursprungliga FSG, (10), redovisas att ärendet bör anmälas till SSM och att motivet till varför det inte görs så saknas. Det saknas motivering till varför FSG inte kräver att anmälan till SSM görs. Istället finner sig FSG i att anmälan till SSM inte görs. Ingen av genomförda säkerhetsgranskningarna ifrågasätter de ansatser som genomförd CCF-värdering bygger på samt att CCF-värderingen inte identifierade fullständiga och korrekta aspekter. SSM finner att detta borde ha identifierats. Ingen av de genomförda säkerhetsgranskningarna identifierar avsaknaden av förändringar i tålighet mot enkelfel som en säkerhetsaspekt. SSM finner att detta borde ha identifierats. 6 Samlad bedömning SSM anser att ändringen som helhet till största del har värderats på ett tillfredställande sätt och att utbytet av backventiler är positivt för reaktorsäkerheten. Ur den synvinkeln har SSM inga synpunkter på att backventilernas utbyte. Utbytet och den anmälan till SSM som följde har dock vissa frågetecken kring delar av omfattningen av värderingen samt vissa principiella delar av ärendet. Underhållsaspekter bör ges en mindre betydelse när man värderar diversifieringsaspekter. Att underhållet blir mer komplext om man diversifierar är naturligt och något man får räkna med och således primärt inte bör ställa emot diversifieringen. Avsaknaden av SAR-redovisning av undantag från fundamentala krav medför att samtliga säkerhetsaspekter av en ändring i anläggningen inte på ett enkelt sätt är identifierbara för konstruktörer, granskarare och övriga berörda parter. Utbyte av säkerhetskritiska komponenter från en sort till en annan bör betraktas som en ändring som bör anmälas till SSM oavsett om ändringen påverkar förhållanden i SAR eller inte. Speciellt för ändringar i delar av säkerhetsfunktioner som inte uppfyller fundamentala krav.

Sida 8 (8) Att genomföra förenklade värderingar av om säkerhetskritiska komponenter är beprövade eller inte så som skett i aktuellt fall är inte tillräckligt. I sådana förenklade värderingar förbigås lätt väsentliga aspekter lätt, i detta fall har aspekten om backventilernas faktiska tillämpning i R4 inte funnits med vad SSM kan se. RAB bör se över processen för hur det bedöms om en komponent är beprövad eller inte, samt att komponentens faktiska tillämpning ingår i en sådan värdering. Referenser 1. Redovisad reaktorsäkerhetspåverkan, R3,4 323 - Utbyte av backventiler Kerotest, A.01352. RAB nr. 2180356/3.0. 2. CCF-värdering inför införande av Kerotestutbyte på ett år, R3, R4 Kerotest, A.01352. RAB nr. 2100823/4.0. 3. Redovisad reaktorsäkerhetspåverkan, R3,4 323 - Utbyte av backventiler Kerotest, A.01352. RAB nr 2180356/2.0. 4. Granskning av uppfyllandet av 9 SSMFS 2008:17 - Enkelfel SSMFS 2008:17 - Enkelfel. SSM2010/807-187. 5. Ringhals 2-4, Safety assessmen of exceptions from applying the active single failure criteria to check valves in the safety injection lines. RAB nr. 2025617/3.0. 6. SKIFS project - Ringhals 3 and 4 - Analyses of the impact of applying the single faiule criterion on check valves. RAB nr 1989785. 7. R4 - Anmälan av ändringar i säkerhetsredovisning enligt SSMFS 2008:1 4 kap 5 till följd av utbyte av backventiler i säkerhetsinsputningsledningarna. RAB nr.2212275. 8. R4 - Primär säkerhetsgranskning av Utbyte av Kerotest backventiler i HHSIledningarna. RAB nr. 2184520/3.0. 9. R4 - Primär säkerhetsgranskning av Utbyte av Kerotest backventiler i HHSIledningarna - Åtgärder efter provdrift. RAB nr. 2211444/2.0. 10. R4 Fristående säkerhetsgranskning av "Utbyte av kerotest backventiler i HHSIledningarna. A.01352. RAB nr. 2199618/2.0. 11. R4 Fristående säkerhetsgranskning av utbyte av Kerotest backventiler i HHSIledningar - Åtgärder efter provdrift. RAB nr. 2211852/2.0.